1. xss攻击分类
1.反射型
url参数直接注入
2.存储型
存储到DB后读取时注入
2. xss攻击注入点
1.Html节点内容
2.HTML属性
3.javascript代码
4.富文本
3. 解决
1.浏览器自带防御
X-XSS-Protection 能解决Html节点内容 和 HTML属性
2.html内容进行转义
像< > " ' 还有空格
3.js转义
像 " 转义成\\"
也可以直接对数据JSON.stringify()
4.富文本
按白名单(黑名单)保留(去除)相应的标签和属性
cheerio.js
xss.js